Istio

Kubernetes 下零信任安全架构分析

由 十年热恋 提交于 2019-12-23 11:14:59
【推荐】2019 Java 开发者跳槽指南.pdf(吐血整理) >>> 点击下载《不一样的 双11 技术：阿里巴巴经济体云原生实践》 本文节选自《不一样的 双11 技术：阿里巴巴经济体云原生实践》一书，点击上方图片即可下载！ 作者 杨宁（麟童） 阿里云基础产品事业部高级安全专家 刘梓溪（寞白） 蚂蚁金服大安全基础安全安全专家 李婷婷（鸿杉） 蚂蚁金服大安全基础安全资深安全专家 简介 零信任安全最早由著名研究机构 Forrester 的首席分析师约翰.金德维格在 2010 年提出。零信任安全针对传统边界安全架构思想进行了重新评估和审视，并对安全架构思路给出了新的建议。 其核心思想是，默认情况下不应该信任网络内部和外部的任何人/设备/系统，需要基于认证和授权重构访问控制的信任基础。诸如 IP 地址、主机、地理位置、所处网络等均不能作为可信的凭证。零信任对访问控制进行了范式上的颠覆，引导安全体系架构从“网络中心化”走向“身份中心化”，其本质诉求是以身份为中心进行访问控制。 目前落地零信任概念包括 Google BeyondCorp、Google ALTS、Azure Zero Trust Framework 等，云上零信任体系，目前还是一个新兴的技术趋势方向，同样的零信任模型也同样适用于 Kubernetes，本文重点讲解一下 Kubernetes 下零信任安全架构的技术分析。

Istio manual sidecar injection gives an error

由 青春壹個敷衍的年華 提交于 2019-12-23 02:29:17
问题 I am trying to manually inject istio sidecar into an existing deployment according to the instructions here: https://istio.io/docs/setup/kubernetes/additional-setup/sidecar-injection I am getting the following error, however: $ istioctl kube-inject -f k8s/prod/deployment.yaml Error: missing configuration map key "values" in "istio-sidecar-injector" This error occurs to me even why I try different kinds with different yaml files. Is this a bug or am I doing something wrong? How can I add

How to configure ingress gateway in istio?

由 房东的猫 提交于 2019-12-22 01:32:20
问题 I'm new to istio, and I want to access my app through istio ingress gateway, but I do not know why it does not work. This is my kubenetes_deploy.yaml file content: apiVersion: v1 kind: Service metadata: name: batman labels: run: batman spec: #type: NodePort ports: - port: 8000 #nodePort: 32000 targetPort: 7000 #protocol: TCP name: batman selector: run: batman #version: v1 --- apiVersion: apps/v1 kind: Deployment metadata: name: batman-v1 spec: replicas: 1 selector: matchLabels: run: batman

How to use Jaeger with Spring WebFlux?

由 依然范特西╮ 提交于 2019-12-21 20:24:21
问题 We are trying to go reactive with Webflux. We are using Jaegar with Istio for instrumentation purposes. Jaegar understands Spring MVC endpoints well, but don't seem to work at all for WebFlux. I am looking for suggestions to make my webflux endpoints appear in Jaeger. Thanks in advance. 回答1: The best way to move forward in order to use Jaegar is NOT TO USE JAEGAR CLIENT! Jaegar has the ability to collect Zipkin spans: https://www.jaegertracing.io/docs/1.8/getting-started/#migrating-from

阿里巴巴 Kubernetes 能力再获 CNCF 认可 | 云原生生态周报 Vol. 32

由 北慕城南 提交于 2019-12-20 11:21:48
【推荐】2019 Java 开发者跳槽指南.pdf(吐血整理) >>> 作者 | 丁海洋 陈有坤 李鹏 孙健波 业界要闻 阿里巴巴 Kubernetes 技术能力再获 CNCF 认可 CNCF 官网发布博文《Demystifying Kubernetes as a Service – How Alibaba Cloud Manages 10,000s of Kubernetes Clusters》。这篇长文从为什么需要超大数量的 K8s 集群，以及如何高效的管理这些集群出发，系统介绍了 Alibaba 在 Kubernetes 上取得的成绩。 GitHub 欲在中国设立子公司 今年早些时候传出多起 Github 封锁伊朗、叙利亚、克里米亚等地区的 Github 账号，加上目前中美贸易战的大背景，Github 背后的微软需要为很多可能性进行准备。一个问题是：中国子公司真的可以在贸易战白热化的时候帮助微软和中国开发者吗？无论如何，多年来开源运动对当前 IT 技术的贡献大家有目共睹，而 Github（依然）是聚集开发者最好的平台，我想每一个负责任的开发者，无论国籍，都应该好好思考未来可能会如何，做好应对。 上游重要进展 Kubernetes Support external signing of service account keys 目前 K8s apiserver 还是从硬盘读取

istio源码分析之pilot-discovery模块分析

由 夙愿已清 提交于 2019-12-19 07:55:04
【推荐】2019 Java 开发者跳槽指南.pdf(吐血整理) >>> 本文分析的istio代码版本为0.8.0，commit为0cd8d67，commit时间为2018年6月18日。 本文为 Service Mesh深度学习系列 之一： Service Mesh深度学习系列part1—istio源码分析之pilot-agent模块分析 Service Mesh深度学习系列part2—istio源码分析之pilot-discovery模块分析 pilot总体架构 首先我们回顾一下pilot总体架构，上面是 官方关于pilot的架构图 ，因为是old_pilot_repo目录下，可能与最新架构有出入，仅供参考。所谓的pilot包含两个组件：pilot-agent和pilot-discovery。图里的agent对应pilot-agent二进制，proxy对应Envoy二进制，它们两个在同一个容器中，discovery service对应pilot-discovery二进制，在另外一个跟应用分开部署的单独的deployment中。 discovery service ：从Kubernetes apiserver list/watch service 、 endpoint 、 pod 、 node 等资源信息，监听istio控制平面配置信息（Kubernetes CRD），

Istio从懵圈到熟练 – 二分之一活的微服务

由 混江龙づ霸主 提交于 2019-12-15 12:05:43
【推荐】2019 Java 开发者跳槽指南.pdf(吐血整理) >>> Istio is the future！基本上，我相信对云原生技术趋势有些微判断的同学，都会有这个觉悟。其背后的逻辑其实是比较简单的：当容器集群，特别是K8S成为事实上的标准之后，应用必然会不断的复杂化，服务治理肯定会成为强需求。 Istio的现状是，聊的人很多，用的人其实很少。所以导致我们能看到的文章，讲道理的很多，讲实际踩坑经验的极少。 阿里云售后团队作为一线踩坑团队，分享问题排查经验，我们责无旁贷。这篇文章，我就跟大家聊一个简单Istio问题的排查过程，权当抛砖。 二分之一活的微服务 问题是这样的，用户在自己的测试集群里安装了Istio，并依照官方文档部署bookinfo应用来上手Istio。部署之后，用户执行kubectl get pods命令，发现所有的pods都只有二分之一个容器是READY的。 # kubectl get pods NAME READY STATUS RESTARTS AGE details-v1-68868454f5-94hzd 1/2 Running 0 1m productpage-v1-5cb458d74f-28nlz 1/2 Running 0 1m ratings-v1-76f4c9765f-gjjsc 1/2 Running 0 1m reviews-v1

Istio RouteRule based on headers user-agent doesn't work

由 风流意气都作罢 提交于 2019-12-13 04:45:33
问题 I have two services running on minikube, Foo and Bar . When I'm accessing the Foo service it makes a request to Bar service to retrieve some data. Bar service have 2 versions "1.0" and "2.0" . I have setup the default RouteRule configuration with istio to route all the requests to "1.0" : apiVersion: config.istio.io/v1alpha2 kind: RouteRule metadata: name: bar-default spec: destination: name: bar-server precedence: 1 route: - labels: version: "1.0" It works fine, and I can see that all the

Unable to setup Istio with minikube

由 别来无恙 提交于 2019-12-12 16:18:32
问题 I followed Istio's official documentation to setup Istio for sample bookinfo app with minikube. but I'm getting Unable to connect to the server: net/http: TLS handshake timeout error. these are the steps that I have followed(I have kubectl & minikube installed). minikube start curl -L https://git.io/getLatestIstio | sh - cd istio-1.0.3 export PATH=$PWD/bin:$PATH kubectl apply -f install/kubernetes/helm/istio/templates/crds.yaml kubectl apply -f install/kubernetes/istio-demo-auth.yaml kubectl

Accessing service using istio ingress gives 503 error when mTLS is enabled

由 独自空忆成欢 提交于 2019-12-12 08:14:55
问题 I have a mutual TLS enabled Istio mesh. My setup is as follows A service running inside a pod (Service container + envoy) An envoy gateway which stays in front of the above service. An Istio Gateway and Virtual Service attached to this. It routes /info/ route to the above service. Another Istio Gateway configured for ingress using the default istio ingress pod. This also has Gateway+Virtual Service combination. The virtual service directs /info/ path to the service described in 2 I'm
订阅 Istio